GESTIÓN DEL RIESGO ISO 22301 ISO31000
3) Desarrollo del plan de acción
En primer lugar, se debe realizar una invocación por parte de la Dirección de
las acciones que deben activarse para continuar con la actividad.
A partir de aquí, ya puede definirse la estrategia más adecuada para restablecer
la situación al punto de partida, es decir, que el tiempo que pasa desde el inicio
del incidente hasta que se recupere la actividad normal sea el mínimo posible.
Una vez tenemos la estrategia, el siguiente paso consiste en concretar las acciones
que sean necesarias para recuperar la operatividad normal de la organización,
con todos los procesos y circuitos funcionando a un nivel óptimo.
Por último, se deben realizar una serie de ensayos o pruebas con el fin de
garantizar que estas acciones van a funcionar correctamente y cumplirán su objetivo
en el momento de ponerlas en práctica en una situación real.
En el plan de acción o plan de contingencias debe constar:
• Los riesgos a controlar y la acción de reposición asociada a cada riesgo.
• Activos involucrados.
• Nivel de servicio exigido.
• Tiempo de respuesta.
• Recursos necesarios.
• Procedimientos y responsables.2012
Un SGCN se basa en la norma ISO 22301, la cual enfatiza ciertos aspectos de
la organización y de la sustentabilidad del negocio como: la información, las
aplicaciones informáticas, las cuestiones financieras, contables y legales, así como
también los procesos productivos y operativos.
Se trata de una norma enfocada en la organización general de las empresas,
cuyo fin es determinar los requisitos necesarios para la implementación de
controles que ayuden a evitar o minimizar las amenazas y sus consecuencias. El
segundo punto es establecer o analizar las causas que han motivado este problema.
El estándar ISO 22301:2012, cuya denominación completa es “Seguridad de la
Sociedad: Sistemas de Continuidad del Negocio-Requisitos” aplica el ciclo Plan-
Do-Check-Act (PDCA por sus siglas en inglés), cuyo fin es la mejora continua de
la calidad en los distintos aspectos o fases del programa:
• Planificación.
• Establecimiento.
• Implementación.
• Operación.
• Monitoreo.
• Revisión.
• Mantenimiento.El estándar ISO 22301:2012
Un SGCN se basa en la norma ISO 22301, la cual enfatiza ciertos aspectos de
la organización y de la sustentabilidad del negocio como: la información, las
aplicaciones informáticas, las cuestiones financieras, contables y legales, así como
también los procesos productivos y operativos.
Se trata de una norma enfocada en la organización general de las empresas,
cuyo fin es determinar los requisitos necesarios para la implementación de
controles que ayuden a evitar o minimizar las amenazas y sus consecuencias. El
segundo punto es establecer o analizar las causas que han motivado este problema.
El estándar ISO 22301:2012, cuya denominación completa es “Seguridad de la
Sociedad: Sistemas de Continuidad del Negocio-Requisitos” aplica el ciclo Plan-
Do-Check-Act (PDCA por sus siglas en inglés), cuyo fin es la mejora continua de
la calidad en los distintos aspectos o fases del programa:
• Planificación.
• Establecimiento.
• Implementación.
• Operación.
• Monitoreo.
• Revisión.
• Mantenimiento. de un SGCN?
• Garantizar el cumplimiento de los objetivos prioritarios del negocio en caso
de contingencia.
• Brindar seguridad y confianza a las partes interesadas.
• Reducir los efectos adversos en los servicios de la organización por una
interrupción inesperada.
• Identificar amenazas y vulnerabilidades sobre las operaciones críticas de la
compañía, para su tratamiento y control de manera proactiva.
• Integrar la estandarización, innovación y el liderazgo en la gestión del riesgo
operativo.
• Reducir al mínimo las posibilidades de que una contingencia llegue a provocar
que la empresa deje de operar el tiempo suficiente como para que no
pueda suministrar a tiempo sus productos o servicios.¿Principales beneficios de un SGCN?
• Garantizar el cumplimiento de los objetivos prioritarios del negocio en caso
de contingencia.
• Brindar seguridad y confianza a las partes interesadas.
• Reducir los efectos adversos en los servicios de la organización por una
interrupción inesperada.
• Identificar amenazas y vulnerabilidades sobre las operaciones críticas de la
compañía, para su tratamiento y control de manera proactiva.
• Integrar la estandarización, innovación y el liderazgo en la gestión del riesgo
operativo.
• Reducir al mínimo las posibilidades de que una contingencia llegue a provocar
que la empresa deje de operar el tiempo suficiente como para que no
pueda suministrar a tiempo sus productos o servicios.me.com/pic/m/micalidadprimero/RiskMEASURE.gif" _fcksavedurl="//img.webme.com/pic/m/micalidadprimero/RiskMEASURE.gif" alt="">
TRATAMIENTO DE RIESGOS OPERACIONALES
Tratamiento del riesgo
El tratamiento de riesgo se basa en la selección e implementación de una serie de opciones para modificar los riesgos.
Alguna metodología que se puede utilizar para gestionar los riesgos son:
COSO
AMEF
FODA
ISO 31000
La Norma
ISO 22301
La ISO 22301:2012 está muy
relacionada con otros estándares
de gestión como: ISO 9001, ISO 27001,
ISO 20000-1, ISO 14001 e ISO 28000
Cómo asegurar la continuidad del negocio?
1. El Sistema de Gestión de la Continuidad del Negocio
El principal objetivo de un SGCN
es permitir la administración,
planificación, seguimiento, control
y mejoramiento permanente de la
estrategia de continuidad del negocio
de la compañía para garantizar su
operación crítica en caso de una
contingencia
¿Principales beneficios de un SGCN?
• Garantizar el cumplimiento de los objetivos prioritarios del negocio en caso
de contingencia.
• Brindar seguridad y confianza a las partes interesadas.
• Reducir los efectos adversos en los servicios de la organización por una
interrupción inesperada.
• Identificar amenazas y vulnerabilidades sobre las operaciones críticas de la
compañía, para su tratamiento y control de manera proactiva.
• Integrar la estandarización, innovación y el liderazgo en la gestión del riesgo
operativo.
• Reducir al mínimo las posibilidades de que una contingencia llegue a provocar
que la empresa deje de operar el tiempo suficiente como para que no
pueda suministrar a tiempo sus productos o servicios.
El estándar ISO 22301:2012
Un SGCN se basa en la norma ISO 22301, la cual enfatiza ciertos aspectos de
la organización y de la sustentabilidad del negocio como: la información, las
aplicaciones informáticas, las cuestiones financieras, contables y legales, así como
también los procesos productivos y operativos.
Se trata de una norma enfocada en la organización general de las empresas,
cuyo fin es determinar los requisitos necesarios para la implementación de
controles que ayuden a evitar o minimizar las amenazas y sus consecuencias. El
segundo punto es establecer o analizar las causas que han motivado este problema.
El estándar ISO 22301:2012, cuya denominación completa es “Seguridad de la
Sociedad: Sistemas de Continuidad del Negocio-Requisitos” aplica el ciclo Plan-
Do-Check-Act (PDCA por sus siglas en inglés), cuyo fin es la mejora continua de
la calidad en los distintos aspectos o fases del programa:
• Planificación.
• Establecimiento.
• Implementación.
• Operación.
• Monitoreo.
• Revisión.
• Mantenimiento.
2. La metodología AMEF
El AMEF es un método de análisis
muy versátil, lo que permite aplicarlo
en distintos sectores y en todo tipo
de procesos productivos, operativos
u organizacionales.
Principales beneficios del AMEF
Los beneficios de la implantación del AMEF en un sistema son:
• Identificar fallas o defectos antes de que estos ocurran.
• Incrementar la confiabilidad de los productos/servicios.
• Conseguir procesos de desarrollo más cortos.
• Documentar los conocimientos sobre los procesos.
• Incrementar la satisfacción del cliente.
• Mantener el Know-How en la compañía
3. El plan de contingencia: los tiempos de recuperación
Para que pueda calificarse de
suficientemente óptimo y efectivo, un
plan de contingencia debe ofrecer
respuestas a la pregunta: ¿Qué haces
para revertir la situación de crisis una
vez producida?
4. Implantación, mantenimiento y certificación
Desde el diseño de la estrategia a la ejecución de un plan de continuidad del negocio
definido en un SGCN, y tomando como base el estándar ISO 22301:2012, la implantación
y certificación del mismo es un proceso dividido en las siguientes partes:
1) Definición y gestión del riesgo
Se trata de un requisito previo que consiste en la identificación de los activos
críticos y de los riesgos asociados.
2) Análisis de impacto
Es una de las partes más importantes del proceso y, básicamente, se trata de
relacionar los procesos de negocio identificados con los impactos que se
prevé podría provocar una eventual interrupción de cada uno de ellos.
Para realizar este proceso suele ser necesario llevar a cabo entrevistas en profundidad
con profesionales expertos en cada actividad o sector.
Resulta conveniente realizar una clasificación de los impactos según su gravedad:
• Impactos críticos. Son aquellas interrupciones que pueden provocar un
costo no asumible por la organización.
• Impactos vitales. Se trata de impactos graves que afectan a procesos importantes,
aunque no llegan al nivel de imprescindibilidad de los críticos por
existir alternativas paralelas para mantener un cierto nivel de actividad.
• Impactos sensibles. Afectaciones sobre procesos que pueden ser desviados
o integrados en otros procesos sin que sea necesarios restablecerlos a
corto plazo.
• Impactos no críticos. Eventos que afectan a actividades de importancia
menor, por lo que no suponen un costo elevado para la empresa en el caso
de que se interrrumpan.
En el análisis de riesgos es importante detallar:
• El objetivo.
• El alcance.
• La descripción de las situaciones a controlar.
Por otro lado, dicho análisis debe permitir la definición de los contextos de la
evaluación, así como también los criterios y la evaluación del impacto potencial
en relación a un determinado incidente. Otros aspectos a determinar en el análisis
son: los requerimientos, legales, contractuales y estatutarios.
3) Desarrollo del plan de acción
En primer lugar, se debe realizar una invocación por parte de la Dirección de
las acciones que deben activarse para continuar con la actividad.
A partir de aquí, ya puede definirse la estrategia más adecuada para restablecer
la situación al punto de partida, es decir, que el tiempo que pasa desde el inicio
del incidente hasta que se recupere la actividad normal sea el mínimo posible.
Una vez tenemos la estrategia, el siguiente paso consiste en concretar las acciones
que sean necesarias para recuperar la operatividad normal de la organización,
con todos los procesos y circuitos funcionando a un nivel óptimo.
Por último, se deben realizar una serie de ensayos o pruebas con el fin de
garantizar que estas acciones van a funcionar correctamente y cumplirán su objetivo
en el momento de ponerlas en práctica en una situación real.
En el plan de acción o plan de contingencias debe constar:
• Los riesgos a controlar y la acción de reposición asociada a cada riesgo.
• Activos involucrados.
• Nivel de servicio exigido.
• Tiempo de respuesta.
• Recursos necesarios.
• Procedimientos y responsables.
5. Objetivos Mínimos de la Continuidad del Negocio (OMCN)
6. Período Máximo Tolerable de Interrupción (PMTI)
7. Objetivo de Tiempo de Recuperación (OTR)
8. Objetivo de Punto de Recuperación (OPT)
9. Cómo automatizar el Sistema de Gestión de Continuidad del Negocio según ISO 22301